CVE-2025-24813：Apache Tomcat 检测与缓解实验室
一个防御性网络安全作品集项目，在隔离的双虚拟机环境中展示漏洞研究、检测工程、日志关联、分层缓解和技术文档编写。
项目摘要
本仓库记录了一项经授权的大学实验室对 CVE-2025-24813 的调查，该漏洞涉及 Apache Tomcat 中启用写入的 Default Servlet 与部分 PUT 处理。在不安全配置与应用程序条件的特定组合下，该问题可能导致信息泄露、上传文件被修改，或通过会话反序列化实现远程代码执行。
本项目聚焦于防御者的工作流程：
构建一个隔离且可复现的虚拟测试环境。
观察可疑的 Web、网络和主机活动。
使用 Suricata、Splunk、Tomcat 访问日志和 auditd 检测活动。
关联多个遥测来源以提高置信度。
应用 Tomcat 加固、主机防火墙控制、最小权限原则以及 IDS/IPS 控制。
重新测试并记录暴露状态与加固状态之间的差异。
不包含任何恶意载荷、反向 shell、武器化漏洞利用脚本或第三方漏洞利用二进制文件。
实验室架构
flowchart LR subgraph VBOX[隔离的 VirtualBox NAT 网络] VM1[VM1 - 安全工作站\n192.168.1.17\nUbuntu\nSplunk Enterprise\n经授权的验证工具] VM2[VM2 - Tomcat 服务器\n192.168.1.19\nUbuntu\nApache Tomcat 10.1.16\nSuricata + auditd + UFW\nSplunk Universal Forwarder] VM1 -->|实验室 HTTP 流量 :8080| VM2 VM2 -->|Tomcat、Suricata 和审计日志| VM1 end
